Wat je ook van carrièreplanning vindt: in het verhaal van Nico Waisman lijkt het vooral te draaien om nieuwsgierigheid, zelf leren en het slim combineren van vaardigheden. Van Argentinië groeide hij uit tot een professional in offensive security, om vervolgens de overstap te maken naar leiderschap en defensieve beveiliging. Zijn huidige focus past daarbij: AI-gedreven offensive security die op schaal kan testen, geautomatiseerd en met snelheid die organisaties moeten bijbenen.
In een gesprek schetst Waisman hoe hij als jonge hacker startte zonder formele opleidingen, hoe hij later leiding gaf aan teams van pentesters, en hoe open source en de beveiliging van de softwareketen een grote rol kregen. Ook komt een pijnlijk onderwerp voorbij: de druk en burn-outrisico’s die CISOs en securityteams kunnen ervaren.
Van self-taught hacker naar offensive security
Waisman beschrijft dat hij zijn pad in cybersecurity niet “koos”, maar dat het zich als het ware aandiende. In zijn jeugd was er volgens hem weinig tot geen documentatie of structureel onderwijs dat hem kon helpen om te leren hoe code, bugs en kwetsbaarheden werken. Juist dat gebrek maakte het volgens hem aantrekkelijk: zoeken, experimenteren, reverse engineering en doorgronden van systemen om ze vervolgens te kunnen doorbreken.
Dat leidde niet alleen tot technische groei, maar ook tot een manier van denken: tijd investeren in één probleem, begrijpen hoe het werkt en dan testen waar het faalt. Zijn motivatie zat minder in geld of het aanrichten van schade, en meer in het plezier van uitdaging en het volgen van de “waarom”-vraag achter elk beveiligingslek.
Immunity en het pad naar teamleiderschap
De eerste professionele stap kwam in 2003, toen hij zich aansloot bij Immunity als senior security researcher. Formele cybersecuritykwalificaties had hij niet, maar zijn ervaring in de praktijk en zijn vermogen om kennis te demonstreren deden dat naar zijn zeggen goedmaken.
Bij Immunity bouwde hij verder aan zijn expertise in offensive security. In de bron wordt ook verwezen naar de ontwikkeling van een product, CANVAS, een exploitatieframework dat volgens het gesprek invloed heeft gehad op hoe vroege pentesters en red teams zich ontwikkelden. Waisman werkte daarbij met zowel publieke als private partijen, en richtte zich aanvankelijk op Linux en later ook op Windows.
In dezelfde periode werd duidelijk dat expertise vanzelf kan verschuiven naar leiderschap. Waisman groeide van individuele research naar het aansturen van teams. Daarbij noemt hij dat leiderschap niet per se “een aangeboren eigenschap” is, maar dat het zich ontwikkelt. Life and age duwden hem volgens hem geleidelijk richting management, met op een gegeven moment teams van tientallen pentesters die applicatiebeveiligingstests en penetratietesten uitvoerden voor grote ondernemingen.
GitHub, CodeQL en de beveiliging van open source
Na 17 jaar bij Immunity maakte hij een overstap. In 2019 ging hij naar Semmle als director of research voor Latijns-Amerika. Semmle werd vervolgens overgenomen door GitHub, waarna Waisman terechtkwam bij GitHub Security Lab.
Deze fase verbreedde zijn blik op offensive security. Waar hij eerder vooral kwetsbaarheden en exploitatie onderzocht, kwam er nu meer nadruk op software supply chain security—met name rond open source software en de impact daarvan op CI/CD-pipelines. Dat vraagt om andere vragen: hoe voorkom je dat kwetsbare code in je ontwikkelstroom terechtkomt? En hoe maak je tooling en processen schaalbaar?
In het gesprek staat dat Waisman hielp bij het adopteren en integreren van Semmle’s CodeQL binnen GitHub Security Lab. Ook wordt genoemd dat het lab niet alleen intern werkte, maar toewerking zocht om OSS beter te beveiligen via samenwerking met meerdere bedrijven. Uiteindelijk werd het resultaat ondergebracht bij de Linux Foundation, waar het formeel is gegaan onder de Open Source Security Foundation.
Voor zijn persoonlijke ontwikkeling betekende dit een logische evolutie: van kinderlijke hacking en onderzoek, naar leiderschap en daarna naar open source beveiliging—met een nieuw soort focus op de keten waarlangs software ontstaat.
Defensieve beveiliging: enablement in plaats van blokkeren
Een nieuwe wending kwam toen Waisman GitHub verliet om in 2020 head of security en privacy te worden bij Lyft. Binnen twee jaar groeide hij door naar CISO. Opnieuw lag de uitdaging volgens hem niet alleen in technologie, maar in hoe je beveiliging uitvoert zonder de snelheid van het engineeringteam te saboteren.
Hij beschrijft defensieve security als een balansvraag: je wilt verdedigen, maar je wilt ook blijven mogelijk maken dat teams door kunnen bouwen en leveren. Het wordt vergeleken met sport—je hebt een goede verdediging nodig om te kunnen oprukken. Dus niet elke aanval “uitschakelen door alles eruit te schoppen”, maar beveiliging koppelen aan enablement.
Dat is volgens hem een les die vrijwel meteen binnenkomt wanneer je als CISO verantwoordelijkheid krijgt voor een infrastructuur die dagelijks door duizenden ritten draait. De druk is continu aanwezig en het vraagt om prioriteiten, risicobeheersing en keuzes die je niet telkens opnieuw van nul af aan kunt uitleggen.
XBOW en AI-gedreven offensive security op schaal
Het meest opvallende onderdeel van Waisman’s verhaal is de stap naar AI en offensieve security in één productmatige vorm. Samen met Oege de Moor—die eerder ook verbonden was aan Semmle en GitHub—besprak hij volgens de bron het idee om AI te combineren met offensive security. Dit mondde uit in een bedrijf: XBOW.
Waisman zet uiteen dat XBOW werkt aan een AI-autonome aanpak die penetration tests kan uitvoeren. Het systeem simuleert daarbij menselijke vaardigheden en is ontworpen om dit op schaal te doen. Voor Waisman past dat bij zijn eigen expertise: hij kende offensive security al van binnenuit, en nu is er een route om die kennis te versnellen met AI.
Daarmee komt ook een breder thema terug: de verschuiving van een “handmatig proces” naar iets dat sneller, consistenter en op grotere schaal inzetbaar is. Niet alleen voor securityteams die tests willen uitvoeren, maar ook voor organisaties die hun risicobeoordeling willen versnellen.
De menselijke kant: burn-out en verantwoordelijkheid als CISO
Wie naar CISOs kijkt, ziet vaak een technisch profiel, maar Waisman benoemt expliciet dat de rol zwaar kan zijn. In het gesprek wordt burn-out gekoppeld aan een langdurige, ongecontroleerde stresssituatie—met fysieke, mentale en emotionele uitputting als gevolg. Voor CISOs is het risico extra groot omdat ze verantwoordelijk zijn voor wat anderen doen.
Hij geeft aan dat hij tijdens zijn tijd bij Lyft niet “volledig” burn-out was, maar dat er voor elke CISO wel veel stress aanwezig is. Er speelt volgens hem altijd een spanning tussen beveiliging en enablement. Tegelijk is een securityteam vaak onderbemand, en als er iets misgaat ligt die verantwoordelijkheid niet bij de uitvoering alleen, maar bij het leiderschap.
Daar komt een tweede laag bij: je moet ook je eigen mensen beschermen tegen druk van hun werk. Waisman ziet leiderschap daarom als het afschermen van het team tegen te veel stress, en als een filter die bepaalt hoeveel druk werkelijk bij individuele teamleden terechtkomt.
Mentorschap en focus: theater versus echte impact
Bij het opbouwen van een carrière zonder “vast plan” past ook een manier van lesgeven. Waisman vertelt dat hij weinig concrete loopbaanadviezen kan herinneren, maar één duidelijke boodschap van Dave Aitel (oprichter van Immunity) blijft hangen: focus op wat er echt toe doet, en niet op onderdelen die vooral theater zijn.
In plaats van zijn team voorschriften te geven over wat ze “morgen” moeten doen, stuurt hij volgens het gesprek via mentoring. Hij kiest daarbij voor een Socratische aanpak: vragen stellen zodat mensen hun eigen antwoorden kunnen vinden. Dat is geen losse filosofie, maar een manier om kennis en besluitvorming in het team te versterken.
AI als wapen—en waarom verdedigers nog moeten bijbenen
Tot slot benoemt Waisman zijn grootste zorg: AI in aanvallen. Volgens hem hebben zowel verdedigers als aanvallers budgetten, en is AI voor aanvallen nu nog te duur om op grote schaal te doen wat eerder al mogelijk was. Maar—zo stelt hij—die kosten zullen dalen. Daardoor kan de ROI voor aanvallen verbeteren, en kunnen aanvallers kwetsbare IP’s met malware aanpakken die zich autonomer aanpast op een schaal die organisaties nog niet klaar zijn om te verwerken.
Zijn verwachting is dat de komende periode “een beetje chaos” met zich meebrengt. AI ontwikkelt sneller in aanvallerskringen dan in defensieve omgevingen, en hoewel verdedigers later zullen inhalen, vraagt de overgangsfase om extra aandacht voor voorbereiding, prioritering en respons—zeker in omgevingen waar software supply chain en ontwikkelprocessen samenkomen.
Wat je kunt meenemen uit Waismans traject
Waisman’s route van self-taught hacker naar CISO laat een paar praktische lessen zien. Ten eerste: leren door te testen en te reverse-engineeren helpt je niet alleen technisch, maar ook om beter te begrijpen waar risico’s werkelijk ontstaan. Ten tweede: leiderschap groeit vaak organisch, zeker als je expertise uiteindelijk om moet zetten naar teamimpact.
Ten derde: defensieve security betekent niet alleen blokkeren. Het draait om het mogelijk maken van ontwikkeling met passende beveiligingsmaatregelen. En tot slot: AI-gedreven offensive security is niet slechts een futuristisch idee—het is een manier om het tempo van testen op te voeren, zodat organisaties sneller kunnen ontdekken waar ze kwetsbaar zijn.
Wil je dezelfde rode draad doortrekken naar bredere CISO-ervaringen, dan sluiten deze gesprekken goed aan: Bron: https://www.securityweek.com/ciso-conversations-nico-waisman-from-self-taught-hacker-to-ai-driven-offensive-security-at-xbow/
